2. 工控系统架构解析：现场设备层、过程控制层、监控管理层、企业信息层的功能与通信协议

工控系统（ICS）的经典架构通常遵循ISA-95（IEC 62264）标准，将系统划分为四个层级。每一层承担着不同的功能，并依赖特定的通信协议进行数据交换。理解这些层级是构建工控安全方案的基础。

2.1 现场设备层 (Level 1)

功能： 该层是工控系统的“手脚”，直接与物理过程交互。主要包含各类传感器（温度、压力、流量）、执行器（阀门、电机）、变送器和智能仪表。其核心任务是采集原始物理信号，并执行来自上层的控制指令。

通信协议： 现场设备层通常使用总线型或点对点协议，对实时性和确定性要求极高。

协议名称	特点	典型应用
4-20mA 模拟信号	传统、简单、抗干扰	压力变送器、温度传感器
HART	在4-20mA上叠加数字信号	智能仪表配置与诊断
Modbus RTU/ASCII	主从架构、简单可靠	PLC与远程I/O通信
Profibus PA	本质安全、用于危险区域	化工、油气行业的现场仪表

2.2 过程控制层 (Level 2)

功能： 该层是工控系统的“大脑”，负责执行控制逻辑（PID、顺序控制、联锁保护）。主要设备包括可编程逻辑控制器（PLC）、分布式控制系统（DCS）控制器、远程终端单元（RTU）和安全仪表系统（SIS）。该层接收现场设备信号，进行计算，并输出控制指令。

通信协议： 控制层内部及与上层通信，对实时性和确定性要求高，通常采用工业以太网协议。

Profinet：西门子主导的实时工业以太网标准，广泛用于PLC与分布式I/O通信。
EtherNet/IP：基于TCP/IP的工业协议，由ODVA组织推广，支持CIP（通用工业协议）。
Modbus TCP：Modbus的以太网版本，简单易用，兼容性好。
EtherCAT：超高速实时以太网，适用于运动控制等对抖动要求极高的场景。

2.3 监控管理层 (Level 3)

功能： 该层是操作员与工控系统交互的“窗口”。主要包含人机界面（HMI）、工程师站、OPC服务器、报警管理系统和历史数据库。操作员通过HMI监控生产过程，工程师通过工程师站进行组态和编程。

通信协议： 该层协议侧重于数据聚合、可视化以及与上层系统的集成。

协议/标准	功能	安全关注点
OPC DA / HDA / UA	统一数据访问、历史数据访问、统一架构	OPC Classic (DCOM) 存在大量安全漏洞；OPC UA 支持加密和认证
Modbus TCP	HMI与PLC之间的常用通信	缺乏认证和加密，易受中间人攻击
SNMP	网络设备监控	默认团体字符串（public/private）风险
FTP / SMB	文件传输（如组态文件、日志）	明文传输，易被窃取或篡改

2.4 企业信息层 (Level 4)

功能： 该层是工控系统的“决策中心”，负责生产调度、资源规划和企业管理。主要包含企业资源计划（ERP）系统、制造执行系统（MES）、资产管理系统（EAM）以及历史数据库。该层不直接参与过程控制，而是通过分析生产数据来优化运营。

通信协议： 该层主要使用标准IT协议，侧重于数据集成和业务逻辑。

SQL / ODBC / JDBC：用于数据库访问，MES和ERP系统通过SQL查询历史数据。
SOAP / RESTful API：Web服务接口，用于系统间集成（如ERP与MES交互）。
HTTPS / SFTP：安全文件传输和Web访问，用于报表分发和远程访问。
AMQP / MQTT：消息队列协议，用于物联网（IoT）场景下的数据采集和事件通知。

2.5 层级间安全边界总结

各层级之间的通信是工控安全防护的重点。典型的攻击路径往往是从企业信息层（如钓鱼邮件）渗透到监控管理层，再通过控制层协议漏洞（如Modbus功能码滥用）影响现场设备。因此，在层级之间部署工业防火墙、进行协议深度包检测（DPI）和建立白名单机制至关重要。

# 典型的安全隔离策略示例 (基于 iptables 概念)
# 仅允许特定IP的OPC UA流量从Level 3到Level 2
# 禁止所有来自Level 4的Modbus TCP流量直接访问Level 1

# 规则1: 允许 HMI (192.168.3.10) 访问 PLC (192.168.2.100) 的 OPC UA 端口 (4840)
iptables -A FORWARD -s 192.168.3.10 -d 192.168.2.100 -p tcp --dport 4840 -j ACCEPT

# 规则2: 拒绝所有来自企业网 (10.0.0.0/8) 到控制网 (192.168.2.0/24) 的 Modbus 请求
iptables -A FORWARD -s 10.0.0.0/8 -d 192.168.2.0/24 -p tcp --dport 502 -j DROP

# 规则3: 默认拒绝所有其他跨层流量
iptables -A FORWARD -j DROP

专注课程资料整理

📚 课程目录